精华篇｜深度解析我国工业信息安全现状、挑战及对策建议
自 2010 年“震网”事件爆发以来，全球工业信息安全事件屡屡发生，极大地冲击了当事国的经济、社会乃至国家安全。 2010 年 9 月，伊朗全境 3 万余个网络终端感染“震网”病毒， 攻击目标直指核设施； 2012 年 4 月，伊朗石油部和国家石油公司内部电脑遭受网络病毒攻击， 部分用户数据遭窃取； 2015 年 6 月，波兰航空公司地面操作系统遭遇黑客袭击，致使系统瘫痪长达 5 小时，至少 10 个班次的航班被取消，1400 多名乘客滞留机场； 同年 12 月，乌克兰电力部门至少三个电力区域遭受恶意代码攻击， 造成数小时的停电事故； 2016 年 2 月，日本关键基础设施遭遇代号“沙尘暴”的黑客攻击活动， 电力、石油、天然气、交通运输等诸多组织机构的网络被攻陷； 2017 年 6 月，乌克兰境内发现大规模“Petwrap”勒索病毒感染事件，并迅速在全球范围内扩散，涉及电力、轨道交通、石油、金融、电信等多个领域； 同年 10 月，新型勒索软件“Bad Rabbit”袭击东欧诸国，基辅地铁、敖德萨机场等交通系统及政府机构遭网络攻击； 2017 年 12 月，火眼公司披露最新一款专门针对工控系统的恶意软件 Triton，中东某能源工厂的安全仪表系统遭攻击，并导致工业生产线停运； 2018 年 6 月，三一重工泵车失踪案宣判，犯罪分子通过源代码找到远程监控系统的漏洞，得以解锁设备，间接造成企业约 10 亿元的经济损失； 同年 8 月，台湾地区积体电路制造三大厂区出现电脑大规模勒索病毒事件，约造成 17.6亿元的营收损失，股票市值下跌 78 亿元。
美国拥有数量庞大的网络安全研究机构，爱达荷国家实验室（INL）、桑迪亚国家实验室（SNL）、西北太平洋国家实验室（PNNL）等均是美国网络安全研究的重要力量； 英国于 1996 年和 2014 年成立了网络应急响应小组；2016 年 11 月，英国设立国内首个网络安全学院，旨在培养下一代密码破解者； 日本控制系统安全中心（CSSC） 专门负责工业信息安全防护研究，包括控制系统高级安全技术、系统安全验证技术、可控安全测试床等方面的研究与开发，截至 2017 年 5月，其会员单位已由成立时的 8 家增加至 31 家。2017 年，日本控制系统安全中心开展一系列的网络安全研讨会，如 2 月 6 日至 10 日举办“控制设备安全开发流程，设计与验证研讨会”， 10 月 13 日举办关于关键基础设施“系统防御技术”网络安全研讨会。 德国于 1991 年成立了信息安全联邦安全办公室， 法国于 1994 年成立了法国网络与信息安全局。
2013 年初，美国发布《维护关键信息基础设施安全性和可恢复性》总统令和《加强关键基础设施网络安全》行政令， 就关键信息基础设施安全保障的相关事宜明确了部门职责及工作内容等； 同年，欧盟发布《欧盟网络安全战略》《关键基础设施保护计划》等战略规划，明确了对欧盟关键基础设施的网络安全管理内容和计划； 2014 年 12 月，欧洲网络与信息安全局发布《ICS/SCADA 专业人员的网络安全技能认证》报告，探讨了如何在工业控制网络中应用现有信息安全技术及手段，明确了工控安全面临的挑战并提出了一系列的发展建议； 同年，新加坡发布了《国家网络安全总体规划》，强调了应对国家关键基础设施网络攻击的紧迫性和重要性； 2018 年，美军方发布《美军网络司令部愿景：实现并维持网络空间优势》战略文件，提出了美在网络空间新的指导思想和作战方式，勾勒出美网络司令部的未来发展路线图。
美国自克林顿政府以来， 出台了大量相关法律法规文件，如第 13010 号行政令、第 63 号总统令、《爱国者法案》《国土安全法》、第 7 号国家安全总统令、第 13636号行政命令、第 21 号总统令、《网络安全法》等，2014 年，美国发布《国家网络安全保护法案》，从法律层面提出要加强关键基础设施信息共享、标准制定、教育培训以及技术队伍建设； 2017 年 5 月，美国总统特朗普签署《增强联邦政府网络与关键基础设施网络安全》行政令， 要求采取一系列措施来增强联邦政府及关键基础设施的网络安全，该行政令从联邦政府网络、关键基础设施和国家网络安全三个方面提出增强网络安全的措施。 2016 年 7 月，欧盟正式通过《网络和信息系统安全指令》，明确规范了基础服务运营者、数字服务提供者的网络风险管理、网络安全事故应对与通知等义务，以更好地应对和处置电力供应、空中交通管制等关键基础设施遭受的网络攻击。
2017 年 7 月，英国渗透测试认证机构 CREST 发布的报告《工业控制系统—技术安全保障意见书》指出，随着工业信息安全形势不断恶化，设立工控安全技术保障标准的需求日趋迫切； 各国际标准组织和国家针对工业信息安全测试和性能评估、重点工业行业领域等也积极开展标准制定和完善工作。国际自动化协会（ISA）制定的《工业自动化控制系统（IACS）安全》（ISA/IEC 62443） 系列标准是工控安全领域最为全面的国际通用标准， 美国国家标准与技术研究院（NIST）针对工控安全先是发布《工业控制系统安全指南》（NIST SP 800-82）， 对工控安全防护提供指导，又于 2017 年 9 月发布《网络安全框架制造简 介 》（Cybersecurity Framework Manufacturing Profile），为制造环境中开发网络安全框架（CSF） 提供实施细节，提高制造领域的网络安全风险管理能力 [8]。
2016 年 4 月，澳大利亚政府计划拿出 2.3 亿澳元用于国家重要基础设施的网络安全防护建设； 同年，美国新增 140 亿美元的预算专门用于网络安全的研究和发展； 2017 年 4 月，美国国防部计划投资 7000 万美元建立新的网络安全计划，专门打击针对电网设施的黑客攻击； 同年 8 月，英国宣布在未来三年内投资 1900 万美元创立网络安全创新中心， 用于培养网络安全人才和研发改进网络安全技术； 2018 年，美国表示将在未来 5 年投入更多预算用于提高其在网络空间的防御能力、恢复能力和网络整合能力，以巩固竞争优势。
Chittester[9]、Miller[10] 和 Francial[11] 等利用全息建模、攻击树建模、CORAS、层次 分析和模糊评判集等数学方法分别建立了定性的工控安全风险评估框架模型，并在 SCADA 系统中进行了分析应用和风险综合评价，取得了较好效果；McQueen[12]、Baiardi[13]、Patel[14] 等则基于危害图、攻击路径、攻击事件演化图和“信息安全程度”指标等评估手段，从定量的风险评估角度来研究工控安全风险水平，并对其风险情况进行了量化分析； Hewett R[15]、徐洪华 [16]、赵恒博 [17] 等对工控安全防御策略进行了相关研究，并基于多 Agent、博弈论等技术理论，设计了针对工控系统的安全防御模型，并提出了从企业网络和工控网络两方面进行安全防护的有效手段； 爱达荷国家实验室、亚利桑那大学等研究机构对工控系统进行信息安全攻击实验， 分析各种攻击对系统造成的影响，并验证不同安全解决方案的有效性，从全实物复制测试床、半实物仿真测试床和软件联合仿真测试床三个方面对工控安全测试床开展了研究，并进行了典型案例的试用测试。 此外，在工控安全防护架构设计 [18-23]、安全防御体系 [24]、网络空间靶场 [25] 等方面也已开展相应研究工作。
2016 年底，国家互联网信息办公室发布了《国家网络空间安全战略》，明确了网络安全的具体工作要求，为做好网络安全工作提供了行动指南 [26]； 2017 年 6 月，《中华人民共和国网络安全法》正式实施，对关键信息基础设施保护做出了具体的法律规定，为开展工业信息安全工作提供了法律保障 [27]；2017 年 11 月，国务院印发了《关于深化“互联网 + 先进制造业”发展工业互联网的指导意见》，为建立较为完备可靠的工业互联网安全保障体系设立了发展目标并明确了实现路径； 同年，国务院印发了《关于推动国防科技工业军民融合深度发展的意见》，进一步推动国防科技工业军民深度融合，大力发展网络和信息安全技术、产品和产业。此外，国务院还发布了《关于大力推进信息化发展和切实保障信息安全的若干意见》《关于印发新一代人工智能发展规划的通知》等相关政策文件。
2016 年11 月始， 工信部先后制定发布了《工业控制系统信息安全防护指南》《工业控制系统信息安全事件应急管理工作指南》《工业控制系统信息安全防护能力评估工作管理办法》《工业控制系统信息安全行动计划（2018—2020 年）》等政策文件， 工业信息安全政策体系逐步完善 [28-31]。 随着一系列政策文件的发布和逐步落实，工业信息安全也被提升到一个前所未有的高度。 2017 年，国家工业安全中心正式成立，统筹加强工业信息安全仿真测试、在线监测、攻防演练、应急处置等技术手段建设。借此契机，工控安全检查、防护能力评估、能力建设、风险通报与应急保障、意识教育、产业促进等一系列相关工作有序开展，取得显著成效。 同年，在工信部指导下， 工业信息安全产业发展联盟正式成立，全面推动产学研用集成创新及融合发展；全国范围内工控安全培训首次开展，不断推动工业信息安全意识普及；国家级工业信息安全技能大赛首次成功举办，促进加强对专业人才的选拔和培养力度。
一方面，网络安全问题不断从传统领域渗透到工业领域，传统的防护手段已经无法有效保障工业信息安全； 另一方面，由于问题矛盾的不断发展，当前的工业信息安全管理机制、技术能力以及产业支撑力、企业安全责任意识都存在不足，具有较大安全隐患。
一方面，我国各行业工业企业数量众多，体制及管理机制关系复杂，许多核心工业领域的工控系统涵盖了大量国外的工控系统产品，在对行业和产品的管理上，主管部门在制度建设和法规制定中，缺乏系统的、完善的法律体制和管理机制。 另一方面，在具有复杂管理机制的一些混合所有制或私有制企业中，地区、行业主管部门的安全管理政策无法对企业和社会进行有效的统筹管理，无法有效指导大多数工业企业建立和执行较为完善的信息安全管理制度，相关问题持续困扰工业信息安全的健康有序发展。
一是信息安全管理制度不够完善、现行制度未能有效执行，出现工业信息安全管理混乱、责任不明、生产数据等敏感信息外泄等问题，严重制约企业工业信息安全整体水平的健康发展： 二是工业企业信息安全人才力量不足，拥有信息安全专业背景和技术能力的人员严重匮乏。一方面制约着信息安全意识和技术的提升；另一方面也造成一定程度的安全风险，一旦企业出现工业信息安全问题，将很可能无法及时采取有效应对措施。 三是宣传培训教育工作不到位，员工的信息安全意识相对欠缺，既无法在日常工作中采取措施降低安全风险，也缺乏意识和手段及时发现企业存在的安全隐患。四是大量业务系统、数据库使用弱口令，大大降低了黑客等不法分子突破企业边界的难度，使企业被攻击的安全风险急剧上升。
一是深入学习贯彻《国务院关于深化“互联网 + 先进制造业”发展工业互联网的指导意见》《工业控制系统信息安全行动计划（2018—2020 年）》 《工业控制系统信息安全防护指南》等政策文件， 依据文件要求指导企业开展工业信息安全防护工作； 二是建立“以查促建、以查促改、以查促防” 的常态化工作机制，在全国范围内组织开展工控安全检查评估工作； 三是坚持企业承诺与社会监督相结合;第三方评价与政府持续监管相结合，持续推动工业产品和服务的网络安全审查工作； 四是强化开展工业信息安全意识和基本技能培训，推动工业信息安全意识培训、事件演练、技能竞赛等活动举办，全面深入贯彻落实工业信息安全责任制，切实加强工业企业安全意识和责任义务。
一是深化态势感知能力，建设工业信息安全态势感知监测网络，通过情报收集、主动监测、被动诱捕等技术手段，实现全天候全方位态势感知。 二是增强仿真演练能力， 建设工业信息安全靶场、仿真测试等共性技术平台，研发工业信息安全防护技术工具集，加强分区隔离、安全交换、协议管控等关键技术攻关。 三是提升应急响应能力，支持建设应急资源库，实现信息采集、辅助决策、预案演练等功能。 四是加强信息共享与通报能力，建设工控安全信息通报预警平台，及时发布风险预警信息，跟踪风险防范工作进展，形成快速高效、各方联动的信息通报预警体系。 五是建设国家工业信息安全综合保障网络，指导地方 / 行业技术支撑机构、重点工业企业建设区域级 / 行业级的工业信息安全保障分平台或防护分平台， 实现与国家级保障平台的信息交互共享，打造威胁风险隐患的群防共治能力。
一是坚持政府引导与市场机制相结合，建立健全工业信息安全市场服务体系，为产业发展创造良好的市场环境； 二是推动建设 3 ～ 5 家国家新型工业化产业示范基地（工业信息安全），促进产业集聚发展；培育一批核心技术能力突出、市场竞争力强、辐射带动面广的工业信息安全龙头企业，增强安全产品和服务供给能力； 三是加快自主可控的工业信息安全产品研发，组织开展产品示范应用，推动产品规模化、产业化应用。四是加强工业信息安全产业“走出去”， 以与“一带一路”沿线国家合作为切入点，构建工业信息安全国际治理体系，建设工业信息安全命运共同体。